Default Settings - Classification and M365 Groups - M365 groups - Allow Guests to become Group Owner

Pourquoi c’est important

Autoriser les utilisateurs invités à devenir propriétaires de groupes Microsoft 365 peut entraîner un contrôle non autorisé sur l’appartenance et les paramètres des groupes. Les utilisateurs invités peuvent ne pas être soumis aux mêmes politiques organisationnelles et à la même surveillance que les employés internes, ce qui accroît le risque d’exposition des données ou d’accès inapproprié. Les administrateurs doivent limiter cette capacité pour assurer une gouvernance adéquate des ressources du groupe.

Ce que vérifie Aether365

Cette vérification confirme que le paramètre d’annuaire « Allow Guests to become Group Owner » est défini sur false pour les groupes Microsoft 365. Le résultat apparaît dans le tableau de bord Aether365, sous la section des vérifications entra-id.

Comment corriger

1. Connectez-vous à Microsoft Entra ID à l’aide de PowerShell : Connect-MgGraph -Scopes "Directory.ReadWrite.All"
2. Récupérez le modèle de paramètres d’annuaire actuel pour les groupes :
   $template = Get-MgDirectorySettingTemplate | Where-Object {$_.DisplayName -eq "Group.Unified"}
3. Si aucun paramètre personnalisé n’existe, créez-les :
   $setting = New-MgDirectorySetting -TemplateId $template.Id
4. Localisez le paramètre pour l’autorisation de propriétaire invité et mettez-le à jour :
   $setting.Values | ForEach-Object { if ($_.Name -eq "AllowGuestsToBeGroupOwner") { $_.Value = "false" } }
5. Appliquez les paramètres mis à jour :
   Update-MgDirectorySetting -DirectorySettingId $setting.Id -BodyParameter $setting.Values

Sinon, utilisez l’API Microsoft Graph dans Graph Explorer pour définir la valeur du paramètre sur false.

Conformité

• EIDSCA : EIDSCA.ST08
• CISA SCuBA : 2.18 (Les utilisateurs invités DEVRAIENT avoir un accès limité aux objets d’annuaire Entra ID)

Ressources associées

• Microsoft Learn : Applets de commande Microsoft Entra pour configurer les paramètres de groupe
• Documentation de l’API Graph : type de ressource directorySetting
• Graph Explorer : Ouvrir dans Graph Explorer

Microsoft references

• Groups settings cmdlets
• Directorysetting
• Graph explorer